ProofPass — Datenblatt-Portal mit Zustellnachweis

Nach Art. 31 Abs. 9 REACH muss eine neue Fassung eines Sicherheitsdatenblatts kostenlos an alle Abnehmer der letzten zwölf Monate gehen. Art. 36 REACH verlangt, die Informationen mindestens zehn Jahre aufzubewahren. In vielen Betrieben läuft das über Mailverteiler und Dateiordner, und später lässt sich kaum belegen, welche Fassung wann bei wem lag.

Technisch folgt daraus: Kein Dokument darf überschrieben werden, jede Zustellung braucht eine eigene, nachvollziehbare Spur, und viele Hersteller müssen auf einer Plattform sauber voneinander getrennt sein, obwohl ihre Produktseiten öffentlich sind.

ProofPass ist eine mandantenfähige Webanwendung: Next.js mit App Router, Payload CMS 3 als Daten- und Verwaltungsschicht, PostgreSQL bei Neon in Frankfurt, Dateien in Vercel Blob, Hosting auf Vercel in der Region Frankfurt.

Mandantentrennung

Jeder Hersteller ist ein Mandant. Herstellerlogins schreiben ausschließlich über Server Actions, die den Mandanten aus der Sitzung setzen und Zugriffsregeln nicht umgehen. Weil Produkte und Dokumente öffentlich lesbar sein müssen, prüft jede Aktion zusätzlich, ob die betroffene Zeile zum eigenen Mandanten gehört. Verweise auf andere Datensätze werden vor dem Speichern geprüft.

Versionsarchiv statt Überschreiben

Jede Fassung eines Dokuments ist eine eigene Zeile. Eine neue Fassung markiert die alte als ersetzt, nichts wird gelöscht oder überschrieben. Beim Hochladen wird ein SHA-256-Hash gespeichert; die öffentliche Echtheitsprüfung rechnet den Hash einer vorliegenden PDF im Browser und vergleicht ihn, ohne die Datei hochzuladen. Alle Daten eines Herstellers lassen sich als Prüfmappe exportieren: Der Browser baut das ZIP seitenweise, damit keine Serverantwort an ein Größenlimit stößt.

Zustellung mit Nachweis

Jede Zustellung bekommt einen persönlichen Link. Öffnen und Download werden mit Zeitpunkt gespeichert und lassen sich als CSV exportieren. Bestätigen und Abmelden funktionieren nur über einen Knopf, weil Sicherheitsscanner in Firmenpostfächern Links automatisch aufrufen. Der Versand ist je Konto und 24 Stunden begrenzt, und ohne eingerichteten Mailversand gilt eine Zustellung als fehlgeschlagen, nie als versendet.

Schnittstellen

• QR-Code je Produkt mit einem Kurzlink, der sich nie ändert, dazu GS1 Digital Link über die GTIN.
• REST-API v1, nur lesend, mit Bearer-Schlüsseln, von denen nur ein Hash gespeichert wird.
• Öffentlicher MCP-Server für KI-Assistenten mit vier lesenden Werkzeugen. Er liefert nur verifizierte, aktuelle Fassungen und nennt in jeder Antwort die Quelle.
• Einbindung per iframe, Script-Widget oder Plugin für WordPress und WooCommerce.
• Stripe für Abos, über Checkout und Kundenportal.

Wie wir solche Anbindungen für bestehende Systeme bauen, steht auf der Seite Systemintegration.

Mehrsprachigkeit

Herstellerseiten, Widget, Produktpass und Mails an Abnehmer gibt es in 15 Sprachen. Ein automatischer Test schlägt fehl, sobald in einer Sprache ein Text fehlt. Website und Dashboard sind auf Deutsch, Englisch und Polnisch verfügbar.

KI, wo sie hilft

Ein wöchentlicher Rechtsmonitor fragt die EUR-Lex-Datenbank per SPARQL, den Amtsblatt-Feed und das österreichische RIS über deren offizielle Schnittstellen ab und ordnet Fundstücke mit Claude Haiku oder per Regel ein. Er ändert nie selbst Inhalte, sondern meldet sie der Redaktion. Die Prüfung eines Sicherheitsdatenblatts auf die Abschnitte nach Anhang II läuft dagegen ohne KI und ohne Upload im Browser.